CES nimmt die Sicherheit seiner Produkte und Dienste ernst. Wir schätzen die Arbeit von Sicherheitsforschern und der breiteren Community bei der Identifizierung und Behebung von Schwachstellen. Im Einklang mit den Anforderungen des EU Cyber Resilience Act (CRA) stellen wir einen klaren und zugänglichen Kanal zur Meldung von Sicherheitslücken in unseren Produkten bereit.
Wir setzen auf eine vertrauensvolle Zusammenarbeit mit Meldenden, um Schwachstellen zeitnah und koordiniert zu untersuchen, zu verifizieren und zu beheben.
Wenn Sie eine mögliche Sicherheitslücke in einem CES-Produkt oder einem zugehörigen Dienst identifiziert haben, melden Sie diese bitte umgehend über die untenstehende Kontaktstelle.
cybersecurity@ces.eu
Bitte legen Sie die Schwachstelle nicht öffentlich oder gegenüber Dritten offen, bevor wir Gelegenheit hatten, sie zu bewerten und zu beheben. Wir verpflichten uns zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure) und werden gemeinsam mit Ihnen einen angemessenen Zeitplan für die Offenlegung vereinbaren.
Meldungen können auf Deutsch oder Englisch eingereicht werden.
Damit wir das Problem zügig bewerten und beheben können, geben Sie uns bitte folgende Informationen an:
- Name und Version des betroffenen Produkts oder Dienstes
- Eine klare Beschreibung der Schwachstelle, einschließlich ihres Typs (z. B. Pufferüberlauf, Umgehung der Authentifizierung, unsichere Kommunikation)
- Schritte zur Reproduktion des Problems, einschließlich Proof-of-Concept-Code, Skripten oder Konfigurationsdetails
- Mögliche Auswirkungen der Schwachstelle (z. B. Offenlegung von Daten, Dienstunterbrechung, Remote-Codeausführung)
- Ihre Kontaktdaten, falls Sie über den Fortschritt informiert werden möchten (Meldungen können auch anonym erfolgen)
- Etwaige vorgeschlagene Abhilfe- oder Behebungsmaßnahmen, die Sie identifiziert haben
Falls Ihre Meldung sensible Informationen enthält, weisen Sie bitte deutlich darauf hin – wir behandeln diese mit entsprechender Vertraulichkeit.
1. Empfangsbestätigung — Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
2. Bewertung — Unser Sicherheitsteam prüft die Meldung, um die Schwachstelle zu bestätigen, ihren Schweregrad zu bestimmen und betroffene Produkte zu identifizieren.
3. Regulatorische Meldung — Bestätigt eine Meldung, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall eines unserer Produkte betrifft, sind wir gemäß dem CRA gesetzlich verpflichtet, ENISA und die koordinierende CSIRT-Stelle innerhalb gesetzlich festgelegter Fristen zu benachrichtigen. Diese Meldung erfolgt zusätzlich zur direkten Kommunikation mit Ihnen als meldender Person und ersetzt diese nicht. Die dabei geteilten Informationen beschränken sich auf die zur Bewertung und Behebung erforderlichen technischen Angaben; Ihre Identität oder Kontaktdaten geben wir im Rahmen dieser Meldung nicht weiter, es sei denn, dies ist gesetzlich vorgeschrieben.
4. Status-Updates — Ab diesem Zeitpunkt halten wir Sie bis zur Lösung in angemessenen Abständen über den Fortschritt auf dem Laufenden.
5. Behebung — Wir entwickeln und validieren einen Fix oder eine Abhilfemaßnahme. Falls relevant, kann dies eine Abstimmung mit Komponenten- oder Zulieferanbietern einschließen.
6. Offenlegung — Sobald ein Fix oder eine Abhilfemaßnahme verfügbar ist, stimmen wir eine angemessene öffentliche Offenlegung mit Ihnen als meldender Person ab und nennen Ihren Beitrag, sofern Sie nicht anonym bleiben möchten.
Diese Richtlinie gilt für alle CES-Produkte und -Lösungen. Sollten Sie unsicher sein, ob ein Problem in den Geltungsbereich fällt, melden Sie es trotzdem — wir prüfen lieber eine Meldung, die sich als nicht relevant herausstellt, als ein echtes Problem zu übersehen.
Damit Tests für Sie, für uns und für unsere Nutzer sicher bleiben, bitten wir Sie:
- Testen Sie ausschließlich Produkte oder Dienste, die Ihnen gehören oder für die Sie eine ausdrückliche Genehmigung haben — niemals Produktivsysteme Dritter oder anderer Kunden.
- Führen Sie keine Denial-of-Service-Tests (DoS/DDoS) durch.
- Verzichten Sie auf physisches Eindringen, Social Engineering oder Phishing gegenüber Mitarbeitenden, Auftragnehmern oder Kunden von CES.
- Greifen Sie nicht auf Daten zu, die Ihnen nicht gehören, und verändern oder löschen Sie diese nicht. Sollten Sie im Rahmen Ihrer Tests versehentlich auf nicht-öffentliche oder personenbezogene Daten zugreifen, beenden Sie den Test sofort, speichern oder teilen Sie diese Daten nicht und melden Sie uns den Vorfall umgehend.
- Beschränken Sie automatisierte Scans auf eine angemessene Rate, die die Verfügbarkeit eines Dienstes nicht beeinträchtigt.
Tests, die im Einklang mit diesen Regeln und innerhalb des oben genannten Geltungsbereichs durchgeführt werden, sind autorisiert und willkommen.
Wir werden keine rechtlichen Schritte gegen Sicherheitsforscher einleiten, die:
- nach Treu und Glauben handeln und diese Richtlinie einhalten,
- Datenschutzverletzungen, Datenzerstörung oder Dienstunterbrechungen vermeiden,
- eine Schwachstelle nicht über das zur Demonstration notwendige Maß hinaus ausnutzen und
- uns angemessene Zeit zur Untersuchung und Behebung einräumen, bevor sie das Problem öffentlich machen.
Eine maschinenlesbare Version dieser Kontaktstelle wird zudem gemäß RFC 9116 unter `/.well-known/security.txt` auf unserer Domain veröffentlicht, um automatisierten Tools und Sicherheitsforschern das Auffinden zu erleichtern.
Informationen darüber, wie wir personenbezogene Daten verarbeiten, die im Rahmen einer Schwachstellenmeldung übermittelt werden, finden Sie in unserer [Datenschutzerklärung], Abschnitt „Meldung und Offenlegung von Schwachstellen“.
Wir danken Ihnen für Ihren Beitrag, unsere Produkte und Nutzer sicher zu halten.
---
Diese Richtlinie wird im Einklang mit dem EU Cyber Resilience Act (Verordnung (EU) 2024/2847) geführt und spiegelt unsere Verpflichtungen im Bereich der Behandlung und Meldung von Schwachstellen wider.
Stand: 15.09.2026